30 résultats
30 résultats
La CNIL propose sur son site une mappemonde sur le niveau de protection des données reconnu dans les divers pays du monde qui identifie ceux qui n’ont pas un niveau de protection adéquat et pour ceux qui ont un niveau de protection adéquat mais qui malgré tout, comme les États-Unis par exemple, ont des législations qui permettent un accès non autorisé.
Cette réponse vous a-t-elle été utile ?
En cas de rachat d’un hébergeur ou d’un sous-traitant ultérieur (achat d’un datacenter actuellement détenu par un fonds de pension canadien par un fonds de pension US etc.) que faire ?
Cette réponse vous a-t-elle été utile ?
La table de correspondance avec SecNumCloud fournie en annexe du référentiel est uniquement fournie à titre indicatif. Elle n’est pas à compléter.
Cette réponse vous a-t-elle été utile ?
Tout sous-traitant ultérieur réalisant tout ou partie d’une des six activités identifiées dans l’article R1111-9 du Code de la Santé Publique doit figurer dans le tableau des garanties.
Cette réponse vous a-t-elle été utile ?
L’Hébergeur doit renseigner la liste des réglementations extra communautaires auxquelles il est soumis (FISA, Cloud Act, etc.) dans la documentation à fournir à son client.
S’agissant de la transparence (tableau des garanties publiques) il doit indiquer s'il est soumis ou pas un risque d'accès tel qu’évoqué dans la question et citer le pays concerné.
Cette réponse vous a-t-elle été utile ?
Le rôle de l’organisme certificateur est de s’assurer que les éléments attendus sont mis à disposition des clients des hébergeurs et du grand public et non de les évaluer. En cas de nécessité, la CNIL est l’autorité compétente pour contrôler la véracité de ces déclarations et sanctionner les éventuels manquements.
Cette réponse vous a-t-elle été utile ?
Chacun des acteurs qui réalise tout ou partie des 4 sous activités précisées pour l’activité 5 doit être certifié (cf. Chapitre 2.1 du référentiel de certification ) :
- la définition d’un processus d’attribution et de revue annuelle de droits d’accès nominatifs, justifiés et nécessaires ;
- la sécurisation de la procédure d’accès ;
- la collecte et la conservation des traces des accès effectués et de leurs motifs ;
- la validation préalable des interventions (plan d’intervention, processus d’intervention).
Si plusieurs acteurs ont en charge ces sous-activités, tous ces acteurs doivent être certifiés.
Recommandation : la désignation d’un unique acteur (ou d’un nombre réduit d’acteurs) pour la gestion des droits permet de limiter l’obligation de certification à quelques acteurs.
Cette réponse vous a-t-elle été utile ?
Une période de transition, calculée à compter de la date de publication de l’arrêté du 26/04/2024, a été fixée à 6 mois (soit le 16/11/2024) pour les organismes de certification et à 24 mois pour les hébergeurs déjà certifiés (soit le 16/05/2026). Pour plus d'information, veuillez consulter la note de transition détaillée publiée sur le site du COFRAC
Cette réponse vous a-t-elle été utile ?
Oui : l'utilisation d'un code d'une nomenclature au lieu d'un libellé n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.
Cette réponse vous a-t-elle été utile ?
Oui : la pseudonymisation n'a pas d'impact sur l'obligation de certification. La nature de la donnée de santé à caractère personnel n'est pas modifiée.
Cette réponse vous a-t-elle été utile ?
Vous ne trouvez pas la réponse à votre question ?
Posez nous votre question !
Besoin d'une mise en relation avec nos experts dédiés ?
